Intelligenza artificiale e cybersicurezza: richieste IVASS alle assicurazioni

IVASS, con comunicazione al mercato del 17 luglio 2026, in materia di resilienza operativa digitale e modelli avanzati di intelligenza artificiale, invita gli operatori del settore assicurativo a considerare le gravi implicazioni dell’IA nell’ambito della cybersicurezza, ed invita i Consigli di Amministrazione a stendere una relazione da inoltrare ad IVASS, che rappresenti il livello attuale di esposizione al rischio e l’adeguatezza dei presidi esistenti.

IVASS ricorda che i modelli di ultima generazione di IA hanno la capacità di identificare le vulnerabilità dei sistemi software e generare contemporaneamente le relative modalità di sfruttamento in tempi estremamente ridotti e senza la necessità di specifiche competenze tecniche, comportando una sensibile riduzione dell’intervallo temporale tra l’individuazione delle vulnerabilità e il loro sfruttamento, con conseguente incremento dei rischi di subire attacchi cyber efficaci.

Abbiamo organizzato per il prossimo 17 settembre il webinar “La governance dell’Intelligenza Artificiale” che analizzerà le sfide normative, organizzative e di compliance derivanti dall’uso dell’intelligenza artificiale nel settore bancario e assicurativo. Il programma completo è visibile al seguente link.

Pertanto, il rafforzamento della resilienza operativa digitale è una condizione essenziale per assicurare la continuità aziendale e la capacità di offrire servizi assicurativi e finanziari affidabili.

Alla luce di tali evoluzioni IVASS, tenendo presente i requisiti previsti da DORA, e le implicazioni dell’intelligenza artificiale più avanzata, invita le imprese assicurative a individuare e realizzare con tempestività le misure necessarie per potenziare i processi e i presidi di cybersicurezza, con particolare riferimento alle seguenti aree:

• governance: gli organi con funzione di amministrazione e di gestione devono rivedere il quadro di riferimento per la determinazione della propensione al rischio (RAF) per incorporare i rischi derivanti dalle tecnologie di frontiera, in maniera coerente con le decisioni strategiche, incluse quelle concernenti gli investimenti in ambito ICT e l’allocazione delle risorse; in particolare:
  • promuovendo il rafforzamento dei sistemi di governo e di controllo
  • assicurando una chiara e puntuale attribuzione delle responsabilità, anche con riferimento alla gestione e sicurezza dei dati
  • definendo presidi appropriati per il governo degli eventuali fornitori esterni di servizi informatici, come adeguati requisiti contrattuali e criteri rigorosi per la valutazione ex-ante e la selezione dei fornitori
  • inserendo all’interno del C.d.A. componenti dotati di adeguate competenze tecnologiche, anche in materia di intelligenza artificiale
  • prevedendo un budget adeguato a garantire la propria formazione nel continuo
• una maggiore igiene informatica:
  • integrando nella propria strategia i principi della difesa in profondità (defence-in-depth) e dell’igiene informatica, che prevedono:
    • processi di autenticazione e autorizzazione rigorosi
    • gestione granulare degli accessi
    • monitoraggio costante delle attività.
  • affiancando strategie di segmentazione delle reti e degli ambienti operativi, al fine di limitare la propagazione di eventuali compromissioni.
• gestione delle risorse informatiche e della potenziale superficie d’esposizione:
  • disponendo di inventari completi, aggiornati e affidabili, anche in considerazione delle minacce emergenti, quale prerequisito essenziale sia per individuare e gestire correttamente le vulnerabilità sia per mappare la propria potenziale superficie di attacco e intervenire in modo efficace
  • considerando che la classificazione delle risorse informatiche in funzione della criticità deve tenere conto della loro eventuale esposizione diretta su internet, nonché del ricorso a soluzioni basate su infrastrutture cloud
  • procedendo alla modernizzazione delle infrastrutture, anche mediante la sostituzione o l’aggiornamento di tecnologie, non più supportate o giunte a fine vita (legacy)
• gestione delle vulnerabilità e degli aggiornamenti (patch): qualora le imprese decidano di avvalersi di strumenti di difesa basati sull’intelligenza artificiale, il loro impiego
  dovrà essere coerente con la strategia in materia di IA e accompagnato da un adeguata valutazione dei rischi specifici associati a tali tecnologie, nonché dall’adozione di idonei presidi (i.e. monitoraggio delle prestazioni e del deterioramento, supervisione umana, ecc.)
• monitoraggio, rilevazione e misure di difesa delle applicazioni, degli accessi e del traffico di rete (compreso quello da e verso i fornitori terzi di servizi informatici):
  • integrandoli con strumenti basati sull’intelligenza artificiale, per analizzare grandi volumi di dati e identificare anomalie in tempo reale, specie con riferimento alle risorse informatiche critiche
  • sincronizzandoli con l’inventario delle risorse informatiche per garantire che queste ultime siano monitorate in base alla loro classificazione di criticità
• rafforzare l’attività di test di resilienza operativa digitale e quelli dei processi di risposta e recupero, includendo in modo strutturato anche le attività di gestione delle crisi, attraverso il test periodico delle procedure operative, in linea con i requisiti previsti dal regolamento DORA, prevedendo la simulazione di scenari realistici e progressivamente più complessi, adeguati alla continua evoluzione del panorama delle minacce cyber a seguito dei cambiamenti nel contesto tecnologico
• gestione della leva tecnologica: catene di fornitura articolate su più livelli e concentrate in pochi operatori possono trasformare criticità circoscritte in problemi di ampia portata: le iniziative delle imprese devono essere supportate anche dai fornitori esterni, sui quali ricadono le medesime responsabilità di assicurare la salvaguardia e la continuità dei sistemi.

IVASS si attende dunque che il Consiglio di Amministrazione di ciascuna assicurazione:

• nel corso di una seduta congiunta con il Collegio Sindacale, esamini il contenuto della presente Comunicazione
• nel corso della medesima seduta, dia avvio alla stesura di una Relazione che, distintamente per ciascuna delle aree richiamate nella comunicazione IVASS:
  • rappresenti il livello attuale di esposizione al rischio e l’adeguatezza dei presidi esistenti
  • individui le principali carenze e le relative priorità di intervento
  • definisca un piano di lavoro con l’indicazione delle azioni, dei tempi e degli investimenti necessari, proporzionato al profilo di rischio, alla complessità dei servizi, all’attività e all’operatività dell’impresa
  • definisca le modalità con cui il C.d.A. ne verificherà l’avanzamento.

Ciascuna impresa di assicurazione dovrà inoltre individuare e comunicare all’Organo di Vigilanza uno specifico punto di responsabilità aziendale (ad esempio, la funzione di controllo dei rischi ICT di secondo livello).

La Relazione con allegato il piano di lavoro, dovrà essere trasmessa a IVASS entro il 31 dicembre 2026.